Der Wortlaut dieses Satzes mag etwas besorgniserregend erscheinen, da er in gewisser Weise impliziert, dass sie Root-Zugriff als bereits installierte und verwendete Hintertür haben. Die Wahrheit ist, dass es nur eine schlechte Formulierung von Mark war und er versuchte zu erklären, dass sie potenziellen Root-Zugriff auf Ihren Computer haben, da jedes Paket-Update als Root ausgeführt wird und sie zu diesem Zeitpunkt alles tun und installieren können, was sie wollen oder wollen alles, was sich möglicherweise aus einem Open-Source-Projekt einschleichen könnte.

Wenn Sie auch die Kommentare zu diesem Blog-Beitrag durchgehen, finden Sie Mark, der die Antwort auf Ihre Frage gibt (sein Benutzername in den Kommentaren lautet 'mark').

Jemand fragte ihn:

Sebastian sagt: ( http://www.markshuttleworth.com/archives/1182#comment-396204)
23. September 2012 um 11:42 Uhr
Ermm. Du hast Wurzel? Details bitte.

und dann antwortete Mark:

Mark sagt: ( http://www.markshuttleworth.com/archives/1182# comment-396225)
23. September 2012 um 13:00 Uhr
@Sebastian - Jedes Paket-Update wird als root installiert.

Sie vertrauen ihnen, weil sie die Software vertreiben, auf der Ihr Computer ausgeführt wird. Ihre Prozesse werden als Root ausgeführt: Sie müssen ihnen vertrauen, da der Computer in ihren Händen liegt, mehr als in Ihren. Während Sie der Administrator des Computers sind, verwenden Sie deren Tools, um Ihre Administratoraufgaben zu erledigen.

Der Punkt, den er macht, ist, dass Sie nur ein Betriebssystem ausführen können, das von einem Anbieter vertrieben wird, dem Sie perfekt und vollständig vertrauen, weil Der Anbieter verfügt über unbegrenzte Leistung in Bezug auf die Computer, auf denen das Betriebssystem ausgeführt wird.

In diesem Fall weist er auf die offensichtliche Absurdität von Schreien hin, dass Canonical durch die Integration von Amazon in die Privatsphäre seiner Benutzer eindringt. Wenn das Unternehmen in Ihre Privatsphäre eindringen wollte, konnte es dies auf viel subtilere und verschlagenere Weise tun. Aber, so argumentiert er, Sie vertrauen Canonical. Sie haben von Anfang an, wenn Sie Ubuntu auf Ihrem Computer ausführen, wie die Tatsache zeigt, dass Sie Ubuntu auf Ihrem Computer ausführen. Wenn Sie ihnen also bereits vertrauen, dass sie alles richtig machen, sollten Sie ihnen vertrauen, dass sie dieses richtig machen.

Es ist keine perfekte Lösung, und ich Ich bin mir nicht sicher, ob es überhaupt ein gültiges Argument ist. Aber das ist sein Argument.

Grundsätzlich verfügt jede Distribution über eigene Repository-Server. Dies ist die Standardoption für das installierte System zum Abrufen von Paketen. Dies bedeutet, dass bei der Installation eines neuen Pakets oder beim Herunterladen von Updates diese aus diesen Repositorys heruntergeladen werden.

Sie (wir) vertrauen den Repo-Betreuern, dass die von ihnen hochgeladenen Pakete nicht bösartig sind. Die meisten offiziellen Repositories bieten die Quellen zu den verfügbaren Paketen an, sodass Sie die Quellen theoretisch herunterladen können, um zu sehen, was sie tun, und sie selbst kompilieren können. Aber das macht niemand.

Vor einiger Zeit haben die meisten Paket-Repositorys eine Paketsignaturfunktion implementiert. Jeder Paket-Uploader verfügt über einen persönlichen Signaturschlüssel, mit dem er seine Pakete signiert, bevor er sie in das Repo hochlädt. Dies verhindert, dass ein böswilliger Angreifer (der in den Repository-Server eingebrochen ist) seine geänderten Pakete bereitstellt. Dies hat jedoch keine Auswirkungen auf die Aktionen des Uploaders, der ein modifiziertes Paket bereitstellen könnte.

Die Paketverwaltung in den meisten Distributionen funktioniert so, dass ein Paket systemweit installiert werden muss mit Root-Rechten installiert werden. Jedes Paket verfügt über Hooks, die vor und nach der Installation ausgeführt werden müssen, damit das Setup korrekt ist. Auch diese werden mit Root-Rechten ausgeführt.

Sie können also theoretisch Ihr System aktualisieren und ein schädliches Paket herunterladen, ohne es zu wissen it.

Der Punkt, den Shuttleworth anstrebte, ist, dass sie, wenn sie als Canonical etwas Bösartiges auf unseren Systemen ausführen wollten, bereits einen Weg haben.

Ubuntus Installationsprogramm und Paketmanager werden als Root ausgeführt. Sie müssen: Nur so kann ein Betriebssystem installiert werden. Außerdem werden Programme installiert, die als Root ausgeführt werden. Andere Linux-Distributionen (und auch andere Betriebssysteme) sind nicht anders, auch wenn sich die genauen Details ein wenig ändern können: Ubuntu ist zufällig im Rahmen dieser Diskussion. Daran führt im Grunde kein Weg vorbei, da ein Root-Account unter anderem dazu dient, dass niemand anderes diese Dinge tun kann, aber jemand in der Lage sein muss, sie zu tun.

Aus diesem Grund wäre es für den Hersteller eines Betriebssystems trivial, in eine Hintertür zu schlüpfen, und die Chancen stehen gut, dass Sie es niemals bemerken würden. Aus praktischen Gründen führt kein Weg daran vorbei. Sie könnten irgendwie schließen, wenn Sie Ihr System selbst mit Linux From Scratch erstellen. Dies erfordert jedoch das Erstellen Ihres Systems selbst und alles, was dazu gehört (und tatsächlich erfordert die LFS-Methode, dass Sie dies zweimal tun). . Dies ist nicht etwas, wofür die meisten Menschen Zeit, Geld oder Fachwissen haben, und selbst wenn dies der Fall ist, ist es immer noch keine narrensichere Methode, um dieses Problem anzugehen. Das Endergebnis ist, dass Sie im Grunde keine andere Wahl haben, als dem Hersteller Ihres Betriebssystems zu vertrauen.

Die Folge davon ist, dass Sie sicherstellen müssen, dass der Hersteller Ihres Betriebssystems jemand ist, dem Sie vertrauen können . In diesem Teil hält Shuttleworths Argumentation nicht so gut. Seine Haltung liest sich viel mehr wie eine Konfrontation "Sie müssen uns sowieso vertrauen, damit Sie sich nur darum kümmern", anstatt zu versuchen, die Bedenken der Menschen tatsächlich anzusprechen oder sogar anzuerkennen.

Wenn Sie sudo apt-get upgrade ausführen, laden Sie ein .deb -Paket aus den Ubuntu-Repositorys herunter und lassen das Installationsprogramm unter root code ausführen > (Sie wissen, sudo ), um es zu installieren. Wenn Ubuntu eines der Pakete manipulieren und eine Hintertür einschließen wollte, können sie dies, und Sie werden es wahrscheinlich nie erfahren.

Sie vertrauen implizit darauf, dass Ubuntu keine Hintertür in diese Pakete einschließt. P. >